Il panorama delle minacce per Android, come spesso vi raccontiamo sulle nostre pagine, non accenna ad arrestare la sua espansione e questa volta si arricchisce di nuovi e pericolosi attori.
Di SpyNote avevamo già parlato più volte in passato, dalla campagna che lo diffondeva travestito da app IT-Alert fino al report sulla sicurezza mobile, dove la famiglia compariva già tra le minacce più attive in circolazione insieme a SpyLoan e BadBazaar.
Ora i ricercatori di sicurezza di Group-IB hanno scoperto qualcosa di ancora più pericoloso ovvero una campagna che combina SpyNote con un nuovo strumento di relay NFC chiamato WindRelay, capace non solo di rubare i dati delle carte di credito, ma anche di richiedere prestiti a nome della vittima. Vediamo come funziona questo attacco, quanto tempo impiega davvero a completarsi e come proteggersi.
Indice:
Segui TuttoAndroid su Google Discover
Come funziona l’attacco, passo dopo passo
Tutto parte da una telefonata in cui un truffatore si finge dipendente della banca della vittima, sostenendo un presunto problema con la carta di pagamento. Durante la chiamata, convince la vittima a installare manualmente un’app camuffata da applicazione legittima, personalizzata addirittura con il nome della vittima stessa per apparire più credibile, concedendole i permessi dei Servizi di Accessibilità. Quell’app è SpyNote, e da quel momento l’attaccante ottiene il controllo remoto completo del dispositivo.
A quel punto, senza bisogno di ulteriore interazione con la vittima, il truffatore installa silenziosamente WindRelay e usa l’accesso remoto per aprire l’app bancaria della vittima e richiedere un prestito a suo nome. Mentre tutto questo avviene, alla vittima viene chiesto di avvicinare la propria carta fisica al telefono e digitare il PIN, con la scusa di verificare o mettere in sicurezza la carta.
WindRelay trasforma di fatto il telefono in un lettore contactless fraudolento, catturando lo scambio NFC in tempo reale, inclusi i dati di autenticazione specifici della transazione, e inoltrandolo a un secondo dispositivo controllato dal truffatore, che può così effettuare acquisti su un vero terminale di pagamento. Secondo Group-IB, l’intera operazione, dalla telefonata iniziale al completamento della frode, si è svolta in appena 13 minuti.
I ricercatori hanno individuato quasi due dozzine di campioni di WindRelay caricati su VirusTotal tra novembre 2025 e luglio 2026, collegati a quattro indirizzi server di comando e controllo distinti. In base alle organizzazioni impersonate e alle lingue utilizzate negli attacchi, i bersagli sembrano concentrati soprattutto in Cechia, Slovacchia e Slovenia, anche se SpyNote e le sue varianti, come SpyMax e CypherRAT, circolano ormai dal 2021 e hanno già colpito in passato istituti come HSBC e Deutsche Bank, oltre ad app diffuse come WhatsApp e Facebook.
Perché il relay NFC è più pericoloso del semplice furto di dati
Questo tipo di attacco risulta particolarmente efficace rispetto ai classici trojan bancari che si limitano a rubare credenziali. L’NFC delle carte di pagamento moderne non funziona come un semplice codice statico che, una volta copiato, può essere riutilizzato all’infinito ma ogni volta che si avvicina la carta a un terminale, il chip genera un codice dinamico e univoco per quella specifica transazione, pensato apposta per impedire la clonazione.
WindRelay aggira questo meccanismo di sicurezza non copiando il dato, ma trasmettendolo in tempo reale mentre lo scambio è ancora in corso. Ed è forse questo l’aspetto più inquietante dell’intera vicenda: l’assenza di una qualsiasi condivisione dello schermo visibile rende l’attacco quasi impossibile da notare per chi lo sta subendo in prima persona.
Come proteggersi da queste minacce
Anche in questo caso, come vi ricordiamo sempre, le regole da seguire sono poche ma efficaci: non installare app tramite sideloading se sono disponibili sul Google Play Store. Qualsiasi app che si presenta come Google Play Protect o come un componente del sistema operativo e richiede di essere installata manualmente è con ogni probabilità malevola e questi componenti non si installano mai manualmente.
È bene trattare con estrema cautela qualsiasi richiesta di accesso alle funzionalità di accessibilità da parte di app che non sono chiaramente strumenti di accessibilità.
Non concedere permessi avanzati ad app scaricate da link o siti web è una buona abitudine generale. Infine, vale sempre la pena esaminare attentamente le schermate di accesso alle app bancarie e se qualcosa sembra strano o compaiono più richieste di accesso insolite, è meglio chiudere l’app e riaprirla dall’icona ufficiale.
E se un messaggio di testo o un pop-up vi invita ad aggiornare urgentemente un’app, è bene trattarlo come un campanello d’allarme, non come una normale operazione di routine da eseguire distrattamente.